Next.js
3 статей с этим тегом
Много ли уязвимостей в Next.js и React? Что на самом деле показывают данные CVE
Данные показывают, что у ядра React почти нет CVE, а CVE Next.js многочисленны и их становится больше. Важно, где они возникают: в middleware, кешировании, оптимизации изображений и Server Actions, а среди CWE лидируют SSRF, десериализация и обход авторизации. Вывод сайта: Next.js нельзя считать только фронтенд-фреймворком. Он работает как сервер, поэтому защищайте его как сервер: повторно проверяйте авторизацию у данных, ограничивайте исходящие запросы белым списком и закрывайте точки Server Actions аутентификацией.
Безопасность Next.js — практическая референс-инструкция по хардненингу продакшна
Значения по умолчанию у Next.js довольно безопасны, но инциденты случаются на границе сервер/клиент. Это рабочий референс: (1) приоритетный чек-лист хардненинга (P0–P2), (2) руководство по областям — граница и переменные окружения (NEXT_PUBLIC_), CVE зависимостей (включая RCE в ядре), авторизация Server Actions / Route Handlers + валидация ввода, SSRF на серверных запросах, заголовки безопасности/CSP, аутентификация/сессия/куки, ограничение частоты, и (3) чек-лист самопроверки. Только защита — без шагов атаки.
Безопасный запуск Next.js: не отставать от опубликованных CVE
Главный риск фреймворка — заброшенные опубликованные CVE. Защищайтесь четырьмя практиками: судите по работающей версии, мониторьте Dependabot/osv-scanner, быстро обновляйтесь и работайте с минимумом привилегий. Взгляд этого сайта: инди-разработчикам обычно не хватает не знаний, а способа поддерживать эксплуатацию; система, которая не пропускает CVE, важнее скорости.